为何我用另一个账户查询存储桶时，在 Amazon Athena 中会遇到 Amazon S3 异常“拒绝访问，状态代码：403”？

简短描述

当您尝试查询由其他 AWS 服务（例如 AWS CloudTrail、Amazon CloudFront 和 Amazon Virtual Private Cloud (Amazon VPC)）写入的日志时，通常会发生此错误。这些服务会在 Amazon S3 中录入事件。存储桶拥有者对 S3 对象拥有完整访问权限。第二个账户对存储桶或对象没有所有权。正因如此，第二个账户在查询引用这些 S3 对象的 Athena 表时会收到访问被拒错误。

解决方法

转移 Amazon S3 对象的所有权无法实现。请改用以下任一方案：

• 在 Athena 账户中，担任有权访问存储桶和对象的 AWS Identity and Access Management (IAM) 角色。有关更多信息，请参阅教程：使用 IAM 角色委派跨 AWS 账户的访问权限。
• 按照如何从另一个 AWS 账户中复制 S3 对象？中的说明，将对象复制到 Athena 账户中的存储桶。然后，从目标存储桶中删除任何冗余或不必要的对象，以防产生不必要的费用。

---

相关信息

为何我无法访问由其他 AWS 账户上载到我的 Amazon S3 存储桶的对象？

如何将 Amazon S3 对象的所有权转移到不同的 AWS 账户？

当我在 Amazon Athena 中运行查询时，为什么会出现 "Access Denied"（拒绝访问）错误？